CVE-2026-89270

Nome do Software Vulnerável e Versões Afetadas Popup Builder versões anteriores a 4.4.6

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes não autenticados movam todos os popups publicados para a lixeira através de uma única requisição GET. O problema é amplificado por uma falha na função find() dentro da classe SGPopup, que retorna falso para popups normalmente publicados quando o parâmetro sg popup preview id é utilizado, disparando a ação de lixeira para todos os popups do site simultaneamente.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.